OpenSSFセキュアオープンソースソフトウェアサミット2023での優先事項

Snykは長年にわたり、Open Source Security Foundation（OpenSSF）に積極的に参加し、スポンサーも務めてきました。オープンソースエコシステムのセキュリティを確保するというOpenSSFの使命を支援したいと考えているからです。

OpenSSFとホワイトハウスが主催した最近のサミットには、オープンソースのセキュリティについて話し合うため、米国政府のさまざまな部門が集まりました。その背景には、オープンソースエコシステムのセキュリティ確保が重要であるという米国政府の認識があります。ホワイトハウスの国家サイバー長官代行、ケンバ・ウォルデン氏の言葉を借りれば、「オープンソースソフトウェアは、民主主義の守り手に権力を移し、私たちの価値観を示すために用いられる重要なツール」です。

このサミットで示された優先事項は、次の3つです。

1. OSSのメンテナー、コントリビューター、利用者にセキュリティ教育を提供する

2. OSSリポジトリを保護する

3. 業界横断のOSSインシデント対応（IR）能力を強化する

私は他のOpenSSFメンバーとともに、このリストの2つ目の課題であるOSSリポジトリの保護に取り組むためのガイドラインの公開に携わってきました。

SCMプラットフォームは、開発者同士のコラボレーションやコミュニティへの参加に使われるほか、多くの重要なオープンソースソフトウェアのコンポーネントやツールのビルド、リリースプロセスの一部としても利用されています。オープンソースソフトウェアのセキュリティを高めるうえで、SCMリポジトリが重要なてこ入れポイントの1つとして議論に挙がったのも当然です。

今月初めに公開されたSource Code Management Best Practices Guideは、GitHubおよびGitLabのSCMプラットフォームを利用する開発者、メンテナー、組織に、セキュリティを確保するためのセットアップとメンテナンスに関する明確なガイドラインを提供します。OpenSSF Scorecardと併用すれば、開発者向けの包括的なチェックリストとなるだけでなく、複数のオープンソースリポジトリを管理する組織が、セキュリティ強化に向けたアクセス許可、ワークフロー、ポリシーを整備するための指針にもなります。

この取り組みを共同で主導した、F5のChristine Abernathy氏とLegit SecurityのNoam Dotan氏との協業は素晴らしいものでした。取り組みはまだ終わりではありません。今回公開したのは、ガイドラインの初版です。今後、対象となるSCMプラットフォームを増やし、コミュニティからのフィードバックも反映していきたいと考えています。もちろん、このガイド自体もオープンソースリポジトリで管理されています。

OpenSSFの最新情報は、Mastodonで@openssf@social.lfx.devをフォローしてください。